安全通道损坏是域成员计算机无法登录的典型原因，需先验证现象（如“信任关系失败”弹窗、Test-ComputerSecureChannel返回False），再检查DNS解析、时间同步（≤5分钟）、网络端口（389/88/445）三项前提，最后执行PowerShell一键修复（Test-ComputerSecureChannel -Repair）或netdom重置密码，失败则离线重加域。
安全通道损坏是域成员计算机无法登录的典型原因，不是账号密码错了，而是电脑和域控制器“失联”了——它忘了自己是谁、该信谁。排查要从验证现象开始，再逐层检查基础条件，最后执行修复。
确认确实是安全通道故障
看到“此工作站和主域间的信任关系失败”弹窗，基本可锁定问题。但别跳过验证步骤：
- 用本地管理员能正常登录 → 说明系统本身完好，问题出在域通信层
- 打开事件查看器 → Windows 日志 → 系统 → 查找来源为 NETLOGON、事件 ID 为 5722 或 3210 的错误（例如：“This computer could not authenticate with \DCName...”）
- 在 PowerShell（管理员权限）中运行：Test-ComputerSecureChannel -Verbose，返回 False 即确认通道已损坏
检查三项基础前提是否满足
所有修复命令都依赖这三项正常，缺一不可：
- DNS解析必须通：运行 nslookup _ldap._tcp.dc._msdcs.你的域名，应返回域控制器的 FQDN 和 IP；若超时或为空，检查客户端 DNS 设置是否指向域内 DNS 服务器
- 时间偏差不能超 5 分钟：运行 w32tm /query /status，确认“源”为域控制器；若显示“未与时间源同步”，执行 w32tm /resync /force；仍失败则手动校准或配置 NTP
- 网络端口必须放行：确保客户端能访问域控制器的 TCP 389（LDAP）、88（Kerberos）、445（SMB）端口；Windows Defender 防火墙或第三方防火墙可能拦截，临时禁用测试
执行修复：优先用 PowerShell 一键修复
这是最轻量、成功率高、无需重启（部分环境需注销）的方法：
- 以本地管理员身份打开 PowerShell（必须勾选“以管理员身份运行”）
- 执行：Test-ComputerSecureChannel -Credential 域名管理员账号 -Repair（例如：Test-ComputerSecureChannel -Credential corp.internalAdmin -Repair）
- 弹窗中输入域管理员密码（该账户需有“重设计算机密码”权限）
- 返回 True 后，再运行一次 Test-ComputerSecureChannel -Verbose 确认状态
- 注销当前会话，尝试用域账号登录
备用与兜底方案
若 PowerShell 方法失败，按顺序尝试：
- netdom resetpwd（推荐批量/脚本场景）：确保已安装 RSAT 工具；执行 netdom resetpwd /server:dc01.corp.internal /userd:corp.internalAdmin /passwordd:* /reboot:0；成功后必须重启，否则新密码不生效
- 离线重加域（终极兜底）：本地管理员登录 → 系统属性 → 计算机名 → 更改 → 切换到工作组（如 WORKGROUP）→ 重启 → 再次进入系统属性 → 改回“域” → 输入域名和加域权限账户 → 成功后重启；注意：AD 中旧计算机对象需人工清理，本地配置文件可能被新建同名文件夹
